JP4896054B2 - 個人情報管理装置，個人情報管理プログラムおよび個人情報管理システム - Google Patents

Description

本発明は、個人情報を取扱う事業者の施設において、当該個人情報を管理するために用いられる個人情報管理装置，コンピュータをかかる個人情報管理装置として機能させる個人情報管理プログラム，および個人情報管理装置及びサーバ装置からなる個人情報管理システムに、関する。

個人情報は、様々な事業者において収集されて利用されているが、憲法１３条の保障するプライバシー権にかかわる重要な情報であるために、その取り扱いには厳重な注意が必要であり、特に、個人情報が外部に流出することは避けなければならない。そこで、我が国は、近年、個人情報の保護に関する法律を制定し、個人情報取扱事業者（同法第２条第３項）に対して、個人情報の利用目的の通知等（同法１８条），本人の同意無き第三者への個人データ提供の禁止（同法２３条）等の義務を、課している。

従って、個人情報取扱事業者は、管理している個人情報を本人の同意無く外部に開示したり、漏洩せぬように、個人情報の漏洩防止措置を講じなければならない（同法第２０条）。
特開２００４−３０１４３号公報

ところが、当該施設において個人情報にアクセスする全ての職員が同法の規定内容を理解して、これを遵守する意思を有していれば、かかる個人情報の漏洩防止措置としては簡単な仕組みのものでも足りるが、現実には、全職員にそれを期待することには無理がある。だからといって、個人情報の漏洩防止措置を強化して、例えば、暗号化手段によって更新の都度鍵を用いて個人情報を暗号化するとともに、閲覧の間だけ復号化してディスプレイ表示するように構成してしまうと、（１）個人情報管理装置のシステムダウン等の原因に因り暗号化された個人情報が破損していた場合に、平文のまま個人情報を保管する場合に比べてもなお個人情報の復旧が困難となる問題，並びに、（２）必ずしも情報処理の専門家でない職員によって不適切な管理がなされた結果として暗号化された個人情報を格納した個人情報ファイルと鍵とが一緒に漏洩される可能性があるので、その結果として外部において個人情報が復号化されてしまう問題がある。

そこで、本発明の課題は、個人情報を取り扱う施設に設置された個人情報管理装置（個人情報管理用のコンピュータ）において、個人情報ファイルに格納されるべき個人情報を更新する都度暗号化することにより個人情報の保護を図るとともに、暗号化された個人情報を格納した個人情報ファイルを、復号化できぬ態様で当該個人情報管理装置（個人情報管理用のコンピュータ）外に退避させることによって、当該個人情報管理装置（個人情報管理用のコンピュータ）のシステムダウン等に因るデータ喪失の危険を回避することとする。

上述した課題を解決するための本発明による個人情報管理装置及び個人情報管理プログラムを実行するコンピュータは、鍵を発行する鍵発行手段と、入力装置を通じて入力される情報に従って、個人情報ファイルに格納すべき個人情報の更新を行う個人情報更新手段と、個人情報更新手段による個人情報に対する更新を行った後に、鍵発行手段によって発行された鍵を用いて、個人情報を暗号化する暗号化手段と、当該暗号化手段によって暗号化された個人情報を格納した個人情報ファイルを通信装置を用いてサーバ装置にアップロードするアップロード手段と、入力装置を通じて入力される情報に従って、サーバ装置から、個人情報ファイルをダウンロードするダウンロード手段と、サーバ装置から所定のマスターキーをダウンロードするマスターキーダウンロード手段と、鍵発行手段によって発行された鍵をマスターキーを用いて暗号化する鍵暗号化手段と、鍵暗号化手段によって暗号化された鍵を記憶装置に保存する鍵保存手段と、記憶装置に保存されている鍵を取り出し、マスターキーを用いて復号化する鍵復号化手段と、鍵復号化手段によって復号化された鍵を用いて、ダウンロード手段によってダウンロードされた個人情報ファイル中の暗号化された個人情報を復号化する復号化手段と、復号化手段によって復号化された個人情報の内容を出力する出力装置とを、備える。

以上のように機能することにより、個人情報ファイルは、個人情報管理装置（コンピュータ）において個人情報の更新（追加、変更等）を行う場合のみ、サーバ装置からダウンロードされ、そこに格納された個人情報が、当該個人情報管理装置（コンピュータ）内で発行された暗号化用の鍵を復号化用の鍵として用いて復号化され、更新後に、再度上記暗号化用の鍵を用いて暗号化されて、個人情報ファイルに格納されてサーバ装置にアップロードされる。従って、常時には、平文の個人情報は個人情報管理装置（コンピュータ）内に存在していないので、当該個人情報管理装置（コンピュータ）が設置された施設内であっても、アクセス権限の無い者やアクセス制限があっても適正な手順を踏まない者は、個人情報の内容を盗み見ることができない。また、個人情報は、暗号化されて個人情報ファイルに格納された状態でサーバ装置にアップロードされて保管され、個人情報管理装置（コンピュータ）において当該個人情報にアクセスする必要が生じる毎に、サーバ装置から個人情報管理装置（コンピュータ）へダウンロードされて、使用される。従って、個人情報管理装置（コンピュータ）においてシステムダウン等の障害が発生したとしても、個人情報が失われてしまうことを防止することができる。なお、サーバ装置にアップロードされている個人情報ファイル中の個人情報を復号化するための鍵は、アップロード元の個人
情報管理装置（コンピュータ）内にのみ存在し、サーバ装置内には存在しない。従って、サーバ措置において当該個人情報ファイル中の個人情報にアクセスしようとしても復号化することができない。以上のように、個人情報の内容を見るには、個人情報管理装置（コンピュータ）において復号化用の鍵を用いて復号する以外にないので、個人情報の保護強化を図ることができる。

また、本発明によれば、個人情報管理装置（コンピュータ）において、鍵が不正に使用されて個人情報が不正に復号化されてしまうことを、防止することができる。

さらに、正式なアクセス権限を有する操作者が個人情報管理装置（コンピュータ）を操作してサーバ装置にアクセスしなければ、マスターキーをダウンロードすることができないので、個人情報の保護を更に強化することができる。

以上のように構成された本発明によると、個人情報ファイルに格納されるべき個人情報を更新する都度暗号化することにより個人情報の保護を図ることができるとともに、暗号化された個人情報を格納した個人情報ファイルを、復号化できぬ態様で当該個人情報管理装置（個人情報管理用のコンピュータ）外に退避させることによって、当該個人情報管理
装置（個人情報管理用のコンピュータ）のシステムダウン等に因るデータ喪失の危険を回避することができる。

１．以下、図面に基づいて、本発明による個人情報管理システムの実施の形態であるコンピュータネットワークの実施形態を、説明する。なお、以下の実施形態は、かかる個人情報管理装置及び個人情報管理システムが、製薬会社等の治験依頼者からの依頼に従って多数の医療機関が参加して行われる治験（臨床試験）によって得られる臨床データをデータセンターに集約するために、ＥＤＣ（Electronic Data Capture）システムと併用される
例である。

即ち、治験に参加する医療機関（以下、「試験参加施設」という）においては、治験依頼者から渡された治験計画書に従って、被験者が選択・特定され、特定された被験者に対して、指定された治験対象の処置（薬品投与，施術，等）が実施されるとともに、その処置の前後において夫々検査や問診が行われて被験者の状態が記録される。そこで、試験参加施設には、個人情報管理システムが動作する端末が設置され、かかる被験者毎の処置の実施記録及び検査や問診の記録（以下、「臨床データ」という）が、それら被験者の個人情報（氏名，イニシャル等）とともにデータベース（被験者個人情報データベース）に保存して管理されている。

なお、試験参加施設においても、各被験者の臨床データは、各被験者毎に一意に割り当てられた識別番号（被験者識別ＩＤ）によって識別されるのであるが、これに加えて各被験者の個人情報たる氏名をも臨床データに対応付けられているのは、被験者に対するコミュニケーションは、被験者の氏名に基づいて行わざるを得ないからである。また、当該試験参加施設内で使用されている限りは、被験者の個人情報の通常の使用目的範囲内であると合理的に判断できるからである。

このようにして被験者個人情報データベースに蓄積された臨床データは、ＥＤＣシステムを用いてデータセンターに収集され、データセンター内において、様々な視点から集計及び解析がなされる。この集計・解析に際しては、各被験者の性別，身体的特徴がパラメータとして用いられるが、データ集計・解析は客観的になされるので、特定の個人と結びつけるための個人情報はそもそも必要がない。従って、個人情報をデータセンターに通知することは、通常の使用目的外であるといえる。そのため、ＥＤＣシステムを通じて各医療機関からデータセンターへ送信される臨床データには、各被験者の個人情報は含まれていない。

なお、個人情報管理システムは、データセンターに設置されているサーバ装置と連動して運用することも可能であるし、ローカルに運用することも可能である。前者の場合には、個人情報管理システムとＥＤＣシステムとを連動させて、個人情報管理システムによって管理されている治験データを、必要なデータを自動抽出してデータセンターへ送信することが可能となる。

２．システム構成
図１は、本発明の実施の形態であるコンピュータネットワークの概略構成を示すブロック図である。この図１に示されているように、このコンピュータネットワークは、インターネット，専用線等の広域ネットワークＮを通じて相互に接続可能に構築された臨床試験データセンター側のシステム１と、各試験参加施設側のシステム２とから、構成されている。

臨床試験データセンター側のシステム１は、図２に示すように、ルータ３を通じて広域
ネットワークＮに接続されたＬＡＮ（ローカルネットワーク）上の複数のサーバ装置（ウェブサーバ装置１１，データベースサーバ１２，等）から、構成されている。また、各試験参加施設側システム２も、ルータ３を通じて広域ネットワークＮに接続されるとともに夫々の試験参加施設内に構築されているＬＡＮ上の複数のコンピュータ（ファイルサーバ装置２１，端末２２）から、構成されている。

これら各サーバ装置１１，１２，２１は、サーバ装置として通常備えているハードウェア（プログラム及び各種データを格納するディスク装置であるハードディスク２４，ハードディスク２４に格納されているプログラムを読み込んで実行し、別途読み込むか外部から入力されたデータに対してプログラムに従った処理を施すＣＰＵ２３，ＣＰＵ２３が上記処理を実行する際の作業領域が展開される主記憶装置であるＲＡＭ１７，ＬＡＮとの間で通信プロトコルに従ったデータ変換を行う通信アダプタ２５，等）を有している。また、各端末２２も、端末装置として通常備えているハードウェア（サーバ装置について説明したものと同様のハードディスク２９［記憶装置に相当］，ＣＰＵ２６，ＲＡＭ２７，通信アダプタ１８［通信装置に相当］の他、操作者によって操作されることによってＣＰＵ２６にコマンド又はデータを入力するキーボードやポインティングデバイス等の入力装置１９，ＣＰＵ２６による処理結果を画面出力するディスプレイ２８［出力装置に相当］）を有している。

なお、各試験参加施設２において、端末２２は複数台設置されており、夫々、治験を実施する医師又は治験コーディネータ（ＣＲＣ）によって操作される。

図１には、各システム１，２を構成する各コンピュータ１１，１２，２１，２２毎に、夫々のハードディスク２４，２９に格納されている各種プログラム及び各種データのソフトウェア構成（論理構成）が、示されている。そこで、次に、各コンピュータ上で各種プログラムによって実現される機能及びデータの説明を行う。

先ず、データベースサーバ１２は、ハードディスク２４に格納されたデータベース管理ソフトをＣＰＵ２３が読み込んで実行することにより、ハードディスク２４内に各種データベースを構築し、外部からの要求に応じて各データベースにデータを蓄積し、また、外部からの要求に応じて各データベースを検索してデータを抽出するコンピュータである。ここでは、データベースサーバ１２のハードディスク２４内には、３つのデータベース（ＥＤＣユーザデータベース１２１，臨床試験データベース１２２，試験参加施設マスターキーデータベース１２３）が、構築されている。

ＥＤＣユーザデータベース１２１は、ＥＤＣシステムにアクセスする権限を有する個々の医師（以下、「試験参加医師」という）及び個々の治験コーディネータ毎に、個人識別情報であるＩＤ，パスワード及びそれが帰属する試験参加施設を識別するための施設ＩＤの組（即ち、アカウント）を格納しているデータベースである。

また、臨床試験データベース１２２は、臨床試験計画書に規定される処置に関する各被験者についての臨床データ（但し、個人情報は含まれていない）を格納しているデータベースである。

また、試験参加施設マスターキーデータベース１２３は、各試験参加施設の施設ＩＤに対応付けて、その試験参加施設に対して一意に発行された「施設マスターキー（詳細については後述するが、各試験参加施設において被験者個人情報データベースファイル２１２を暗号化するために用いた鍵［施設セッションキー］を、更に暗号化するために用いられる鍵）」を保存するデータベースである。

次に、ウェブサーバ１１は、ハードディスク２４に格納されたウェブサーバサービスソフトウェアをＣＰＵ２３が読み込んで実行することにより、クライアントから要求されたメッセージ（ＨＴＴＰリクエストメッセージ）に応じたデータを応答するコンピュータである。ウェブサーバ１１のハードディスク２４には、上記ウェブサーバサービスソフトウェアの他、図１に示したＥＤＣサーバソフトウェア１１１，被験者個人情報管理クライアントソフトインストールプログラム１１２，被験者個人情報管理サーバソフトウェア１１３，及び、各試験参加施設２（個人情報管理システムをサーバ１１３と連動させて運用しているものに限る）毎の施設被験者個人情報データベースのコピー１１４が、含まれている。

ＥＤＣサーバソフトウェア１１１は、ＥＤＣシステムを実現するための各種ＣＧＩプログラムやサーブレットから構成されるプログラム又はプログラム群である。即ち、当該ＥＤＣサーバソフトウェア１１１を読み込んだＣＰＵ２３は、ＥＤＣサービスのＵＲＬ宛のメッセージを受信すると、図６に示す入口画面を端末２２のディスプレイ２８上に表示させる画面データを応答する。それ以後、ＥＤＣサービスの何れかの画面のＵＲＬ宛のメッセージを受信すると、対応する画面を表示させる画面データを応答し、臨床データをパラメータとして含むデータ登録要求メッセージを受信すると、当該臨床データの臨床試験データベース１２２への登録を、データベースサーバ１２に指示する。さらに、当該ＥＤＣサーバソフトウェア１１１を読み込んだＣＰＵ２３は、各端末２２から、被験者個人情報管理クライアントソフトインストールプログラム１１２のダウンロード要求メッセージを受信すると、これをハードディスク２４から読み出して、メッセージ送信元端末２２へ応答する。

当該被験者個人情報管理クライアントソフトインストールプログラム１１２は、実施される臨床試験毎及び試験参加施設毎に準備され、これをダウンロードした端末２２のＣＰＵ２６に対して、ハードディスク２９に被験者個人情報管理クライアントソフトウェア２２２及びシステム設定情報ファイル２２３をインストールさせるプログラムである。そのため、当該被験者個人情報管理クライアントソフトインストールプログラム１１２には、圧縮された被験者個人情報管理クライアントソフトウェア２２２，システム設定情報ファイル２２３及びインストーラが含まれている。この被験者個人情報管理クライアントソフトインストールプログラム１１２の機能については、端末２２の説明箇所において説明する。

被験者個人情報管理サーバソフトウェア１１３は、各端末２２にインストールされた被験者個人情報管理クライアントソフトウェア２２２と連動し、当該被験者個人情報管理クライアントソフトウェア２２２を実行している端末２２のＣＰＵ２６からマスターキーの要求メッセージを受信すると、当該端末２２が属する試験参加施設に一意に対応した施設マスターキーを、データベースサーバ１２の試験参加施設マスターキーデータベース１２３から読み出して応答し、同様に被験者個人情報データベース２１２のコピー（暗号化ファイル）のアップロード要求メッセージを受信すると、当該端末２２からＦＴＰ（File Transfer Protocol）等のプロトコルによって送信されてくる同コピー１１４を、ハードディスク２４に格納する。また、何れかの端末２２から、被験者個人情報データベース２１２のコピー（暗号化ファイル）のダウンロード要求メッセージを受信すると、当該端末２２が属する試験参加施設２に対応する被験者個人情報データベース２１２のコピー（暗号化ファイル）を、ハードディスク２４から読み出して応答する。

次に、各試験参加施設２のファイルサーバ２１は、ハードディスク２４に公知のファイルサーバプログラムを格納し、ＣＰＵ２３によって当該ファイルサーバプログラムを実行するコンピュータである。そして、このファイルサーバ２１のＣＰＵ２３は、上記ファイルサーバプログラムの機能に従い、ハードディスク２４内部を、論理的に、相互にツリー
構造をなす多階層且つ多数のディレクトリに区切る。そのうちの一つが、データディレクトリであり、ローカルユーザデータベース２１１及び被験者個人情報データベース２１２が、構築され且つ格納される。ここに、被験者個人情報データベース２１２は、各被験者毎に、その個人情報及び臨床データを格納しているデータベースであり、後述する施設セッションキーによって常時暗号化された状態でファイル化されてハードディスク２４内に格納されており、各端末２２がアクセスする間のみ同施設セッションキーによって復号化される。ローカルユーザデータベース２１１は、当該試験参加施設２において個人情報管理システムがローカルで運用されている場合にのみ利用されるデータベースであり、端末２２を操作することによって被験者個人情報データベース２１２にアクセスできる権限を有する利用者（医師，治験コーディネータ）のユーザＩＤ及びパスワード（ローカルアカウント）が、登録されている。

次に、各試験参加施設２の端末２２は、ハードディスク２９内にウェブブラウザープログラム２２１を格納しており、このウェブブラウザープログラムをＣＰＵ２６が読み込んで実行することにより、ウェブザーバ１１にメッセージを送信して、ＥＤＣサーバソフトウェア１１１を起動させ、所望の画面データを取得してディスプレイ２８上に当該画面データに基づく画面を表示するとともに、この画面内の入力欄に入力された情報をウェブサーバ１１へ送信することができる。また、端末２２は、ウェブブラウザープログラム２２１の機能に従って、ウェブサーバ１１から被験者個人情報管理クライアントソフトインストールプログラム１１２をダウンロードする。この被験者個人情報管理クライアントソフトインストールプログラム１１２をＣＰＵ２６が読み込んで実行すると、ハードディスク２９内の所定ディレクトリに、被験者個人情報管理クライアントソフトウェア２２２及びシステム設定情報ファイル２２３がインストールされる。

このシステム設定情報ファイル２２３は、システムＩＤ（即ち、実施される臨床試験を一意に識別するための識別情報である試験ＩＤ），ＥＤＣサーバソフトウェア１１１によって実現されるＥＤＣシステムのＵＲＬ，被験者個人情報管理サーバソフトウェア１１３のＵＲＬ，及び内蔵マスターキーを、格納している。なお、内蔵マスターキーは、当該試験参加施設において個人情報管理システムがローカルで運用される場合に、後述する施設セッションキーを暗号化及び復号化するために用いられる。但し、このシステム設定情報ファイルは、臨床試験データセンター１側において、予め、これに対応した被験者個人情報管理クライアントソフトウェア２２２を実行するＣＰＵ２６のみが解読できる非公開フォーマットによって暗号化されている。そして、被験者個人情報管理クライアントソフトウェア２２２は解読したこれら情報を外部出力しないので、特に内蔵マスターキーが冒用されて、後述する施設セッションキーが不正に復号化されて被験者個人情報データベース２１２が不正利用されるおそれがない。

被験者個人情報管理クライアントソフトウェア２２２を読み込んだＣＰＵ２６は、先ず、ユーザから入力される情報に基づいて施設設定ファイル２７４をハードディスク２９内に生成する。この施設設定ファイル２７４は、当該試験参加施設を一意に識別するための識別情報である施設ＩＤ，当該試験参加施設の施設名，当該試験参加施設２内において独自に生成されて被験者個人情報データベース２１４を暗号化及び復号化するために用いられる施設セッションキー（暗号化用の鍵及び復号化用の鍵に相当），被験者個人情報データベース２１４のデータディレクトリ，当該試験参加施設における運用形式（データセンターとの連動運用であるかローカル運用であるか）を、格納している。なお、施設セッションキーは、被験者個人情報管理クライアントソフトウェア２２２に従った処理を通じて、ローカル運用の場合には内蔵マスターキーを用いて、データセンターとの連動運用の場合には被験者個人情報データベース２１２に対するデータアクセスの都度、臨床試験データセンター１から通知された施設マスターキー（臨床試験データセンター１側において各試験参加施設２毎に予め作成されている暗号化鍵）を用いて暗号化されて、当該施設設定
ファイル２２４に格納されている。なお、被験者個人情報管理クライアントソフトウェア２２２は、臨床試験データセンター１から通知された施設マスターキーを外部出力しないので、施設セッションキーが不正に復号化されて被験者個人情報データベース２１２が不正利用されるおそれがない。また、施設設定ファイル２２４は、施設マスターキーまたは内臓マスターキーで暗号化されているので、安心してリムーバブル記憶媒体にコピーされる等して、バックアップされ、また、当該施設参加施設２内の他の端末２に配布される。但し、この施設設定ファイル２２４は、臨床試験データセンター１へは提供されないので、臨床データセンター１において施設マスターキーによって施設セッションキーが復号化され、後述するようにアップロードされている被験者個人情報データベースのコピー１１４中の個人情報が不正に復号化されて、被験者の個人情報が漏洩してしまうことが防止される。

被験者個人情報管理クライアントソフトウェア２２２を読み込んだＣＰＵ２６は、内蔵マスターキー又は施設マスターキーを用いて施設設定ファイル２２４中の施設セッションキーを復号化し、この施設セッションキーを用いて被験者個人情報データベース２１２を復号化し、被験者個人操作者（医師，治験コーディネータ）によって入力された被験者の個人情報を登録する。かかる登録後、被験者個人情報管理クライアントソフトウェア２２２を読み込んだＣＰＵ２６は、被験者個人情報データベース２１２を再度復号化し、データセンターとの連動運用がなされている場合には、暗号化された被験者個人情報データベース２１２のコピー１１４を格納したファイル（個人情報ファイル）を、臨床試験データセンター１のウェブサーバ１１にアップロードする（アップロードされたコピー１１４を格納したファイルは、次に何れかの端末２２が被験者個人情報管理クライアントソフトウェア２２２を起動した時に、ダウンロードされて、ファイルサーバ２１上の被験者個人情報データベース２１２のファイルに上書きされる。）。

３．処理
次に、本実施形態に係る個人情報管理システムを実現するために、上述した各種プログラムを読み込んだ各装置１１，１２，２１，２２が実行する処理を、図３乃至図５のフローチャートに基づいて説明する。

（１）ウェブブラウザーソフトウェア２２１による被験者個人情報クライアントソフトインストールプログラム１１２のダウンロード
ウェブブラウザーソフトウェア２２１は市販のものであるので、ＵＲＬが直接入力された場合に当該ＵＲＬ宛にＨＴＴＰリクエストメッセージを送信し、これに応じて応答されたＨＴＴＰレスポンスメッセージを受信して、当該メッセージによって送信されてくる画面データに基づいてディスプレイ２８上に画面表示を行う。また、例えば、かかる画面データ中にリンクアイテム（アンカータグ）が含まれている場合に、操作者によって当該リンクアイテムが操作された場合には、当該リンクアイテムに組み込まれたリンク先ＵＲＬ宛にＨＴＴＰリクエストメッセージを送信する。また、画面データ中に送信ボタンが含まれている場合に、操作者によって、操当該送信ボタンに対応したテキストボックス，チェックボックス，ラジオボタン等に情報が設定された状態で送信ボタンが操作された場合には、これらの情報をパラメータとして含むＨＴＴＰリクエストメッセージを、当該送信ボタンに組み込まれたＵＲＬ宛に送信する。

そこで、操作者が、端末２２の入力装置１９を操作して、ウェブブラウザーソフトウェア２２１に適宜コマンドを入力することにより、ＥＤＣシステムのＵＲＬ宛にＨＴＴＰリクエストメッセージ（ＥＤＣ起動メッセージ）を送信する。すると、このＥＤＣ起動要求メッセージは、臨床試験データセンター１のウェブサーバ１１により受信され、当該ウェブサーバ１１のＣＰＵ２３（以下、単に、「ウェブサーバ１１」という）が、メッセージ中のＵＲＬを解析することにより、ＥＤＣサーバソフトウェア１１１を起動する。

ＥＤＣサーバソフトウェア１１１を起動したウェブサーバ１１は、当該ＥＤＣサーバソフトウェア１１１に従い、ウェブブラウザーソフトウェア２２１を実行している端末２２のＣＰＵ２６が読み込むことによってそのディスプレイ２８上に図６に示す入口画面を表示させる画面データを、要求元端末２２へ送信する。以下、斯様に画面データを端末２２へ送信することを、単に、「〜画面を端末２２に表示させる」と、表現する。

図６に示す入口画面には、ＩＤ記入欄３０，パスワード記入欄３１及びログインボタン３２が含まれている。そして、その画面データには、操作者が端末２２の入力装置１９を用いて各欄３０，３１に夫々文字列を書き込んだ状態でログインボタン３２を操作した時に、ウェブブラウザーソフトウェア２２１を実行している端末２２のＣＰＵ２６に対して、各欄３０，３１に記入された文字列を、夫々ＩＤ及びパスワードを示すパラメータとして包含するＨＴＴＰリクエストメッセージ（ログイン要求メッセージ）をウェブサーバ１１へ送信させる設定が、含まれている。

このようにして端末２２から送信されたログイン要求メッセージを受信したウェブサーバ１１は、受信したログイン要求メッセージからＩＤ及びパスワードを抽出して、これらＩＤ及びパスワードと同じアカウントがＥＤＣユーザデータベース１２１に登録されているかどうかをチェックする。そして、かかるアカウントが登録されていない場合には不正なアクセスがなされたとして警告画面を端末２２に表示させるが、かかるアカウントが登録されている場合には、ウェブサーバ１１は、図７に示すメニュー画面を、端末２２に表示させる。図７に示すように、このメニュー画面には、臨床データ入力ボタン３３，ダウンロードボタン３４及びログアウトボタン３５が含まれており、その画面データには、各ボタン３３〜３５が操作された場合にその旨のメッセージをウェブサーバ１１へ送信させる設定が、組み込まれている。

このメニュー画面を表示している端末２２から、ダウンロードボタン３４が操作された旨のメッセージを受信すると、ウェブサーバ１１は、被験者個人情報管理クライアントソフトインストールプログラム１１２を、当該端末２２へ送信する。

その後、メニュー画面を表示している端末２２から、ログアウトボタン３５が操作された旨のメッセージを受信すると、ウェブサーバ１１は、ＥＤＣサーバソフトウェア１１１による処理を終了する。

（２）被験者個人情報管理クライアントソフトインストールプログラム１１２による被験者個人情報管理クライアントソフトウェア２２２のインストール
一方、被験者個人情報管理クライアントソフトインストールプログラム１１２をダウンロードした端末２２において、当該被験者個人情報管理クライアントソフトインストールプログラム１１２が実行されると、上記インストーラの機能により、操作者に対してインストール先ディレクトリを問い合わせるダイアログが表示され、当該ダイアログから操作者がインストール先ディレクトリを選択すると、選択されたディレクトリに、被験者個人情報管理クライアントプログラム２２２およびシステム設定情報ファイル２２３がインストールされる。

（３）被験者個人情報管理クライアントソフトウェア２２２によるシステム初期設定
以上のようにして被験者個人情報管理クライアントソフトウェア２２２およびシステム設定情報ファイル２２３がインストールされた端末２２において、操作者が入力装置１９を用いて当該被験者個人情報管理クライアントソフトウェア２２２の起動コマンドを入力すると、当該端末２２のＣＰＵ２６が当該被験者個人情報管理クライアントソフトウェア２２２を読み込んで、当該被験者個人情報管理クライアントソフトウェア２２２に従って
、図３乃至図５のフローチャートに示す処理を実行する。

この処理を開始して最初のＳ００１では、被験者個人情報管理クライアントソフトウェア２２２に従って動作している端末２２のＣＰＵ２６（以下、単に「端末２２」と表記する）は、ハードディスク２９に施設設定ファイル２２４が存在しているかどうかをチェックする。そして、既に施設設定ファイル２２４が存在している場合には、当該被験者個人情報管理クライアントソフトウェア２２２を過去に起動してＳ００２からＳ０１６の処理を既に完了しているものと判断して、処理を直ちにＳ１０１へ進める。

これに対して、未だ施設設定ファイル２２４が存在していない場合には、端末２２は、当該被験者個人情報管理クライアントソフトウェア２２２を初めて起動するのであると判断して、処理をＳ００２へ進める。Ｓ００２では、端末２２は、図８に示す施設設定ファイルチェック画面を、ディスプレイ２８上に表示する。図８に示すように、この施設設定ファイルチェック画面には、施設設定ファイル２２４を新規作成するのか他の端末２２において既に作成された施設設定ファイル２２４をコピーして用いるのかを選択するための施設設定ファイルオプションボタン群３６，当該施設設定ファイルオプションボタン３６にて既存のファイルのコピーが選択された場合に、コピー元の施設設定ファイルが存在している位置（例えば、当該端末２２に一時的に装着されたリムーバブルメディア）へのパスが指定されるファイル位置指定欄３７，作成ボタン３８及びキャンセルボタン３９が含まれている。そして、端末２２は、キャンセルボタン３９が操作された場合にはこの被験者個人情報管理クライアントソフトウェア２２２に従った処理を終了し、施設設定ファイルオプションボタン群３６によって「新規作成」が選択されている状態で作成ボタン３８が操作された場合には、処理をＳ００５へ進め、施設設定ファイルオプションボタン群３６によって「既存のファイルをコピー」が選択されているとともにファイル位置指定欄３７にパスが指定されている状態で作成ボタン３８が操作された場合には、処理をＳ００４へ進める。

Ｓ００４では、端末２２は、ファイル位置指定欄にて指定されたパスに相当する場所から、施設設定ファイル２４２を読み出して、ハードディスク２９における当該被験者個人情報管理クライアントソフトウェア２２２と同じフォルダにコピーする。Ｓ００４を完了すると、端末２２は、処理をそのままＳ０１６へ進める。

一方、Ｓ００５では、端末２２は、図９に示すシステム初期設定画面をディスプレイ２８上に表示する。図９に示すように、当該システム初期設定画面には、システム運用方式選択オプションボタン群４０，データ保存先記入欄４１，施設ＩＤ記入欄４２及びシステム初期化ボタン５７を、含んでいる。

システム運用方式選択オプションボタン群４０は、被験者個人情報管理システムをサーバと連携して運営するか連携させる事無くローカルで運営するかを選択するための複数のオプションボタンから構成されている。また、保存先記入欄４１は、当該試験参加施設２におけるファイルサーバ２１の上記データ保存ディレクトリのＵＲＬが入力される欄である。また、施設ＩＤ記入欄４２は、当該試験参加施設のＩＤとして予め臨床試験データセンター１から指定されている文字列が入力される欄である。端末２２は、各欄４１〜４２に文字列が入力された状態でシステム初期化ボタン５７が操作されると、各欄４１〜４２に入力されている情報及びシステム運用方式選択オプションボタン群４０により選択されたシステム運用方式の種別を、「設定データ」として、ＲＡＭ２７に待避させてから、処理をＳ００６へ進める。

Ｓ００６では、端末２２は、乱数を発生して当該乱数に基づいて施設セッションキーを作成するとともに（鍵発行手段に相当）、ＲＡＭ２７上に、初期値の被験者個人情報デー
タベース２１２を生成する。

次のＳ００７では、端末２２は、Ｓ００５にてＲＡＭ２７に待避された設定データに含まれるシステム運用方式の種別をチェックし、「サーバと連動」が選択されている場合には処理をＳ０１２へ進め、「ローカル」が選択されている場合には処理をＳ００８へ進める。

Ｓ００８では、端末２２は、ファイルサーバ２１の上記データ保存ディレクトリ内に、ローカルユーザデータベース２１１の初期ファイルを生成する。既に、過去に作成したローカルユーザデータベース２１１のファイルが残存している場合には、これを初期化する。

次のＳ００９では、端末２２は、図１０に示すローカルユーザ設定画面をディスプレイ２８上に表示する。図１０に示すように、このローカルユーザ設定画面には、各行に夫々当該試験参加機関においてアクセス権限が認められた個々の医師及び治験コーディネータのユーザＩＤ，パスワード，氏名（ユーザ名）等の情報を入力することができる表４３及び保存完了ボタン４４が、含まれている。操作者が、当該試験参加施設２においてアクセス権限が認められる各医師及び治験コーディネータについて、夫々、表４３の各行にユーザＩＤ，パスワード及びユーザ名を入力した状態で保存完了ボタン４４を操作すると、端末２２は、表４３に入力された情報に基づいて、当該試験参加施設においてアクセス権限が認められる各医師及び治験コーディネータのローカルアカウントを生成して、ローカルユーザデータベース２１１に登録する。

次のＳ０１０では、端末２２は、上述したように非公開フォーマットにて暗号化されているシステム設定情報ファイル２２３を一時的に復号化して、内蔵マスターキーを読み出し、当該内蔵マスターキーを用いて、Ｓ００６にて生成した施設セッションキーのコピーを暗号化する。なお、かかる暗号化を完了し次第、システム設定情報ファイル２２３は元に戻され、読み出された内蔵マスターキーは端末２２内から完全に消去される。端末２２は、このようにして暗号化した施設セッションキーを、Ｓ００５にてＲＡＭ２７に待避された設定データと一緒に施設設定ファイル２２４内に保存して、ハードディスク２９内に格納する。

次のＳ０１１では、端末２２は、上記施設セッションキーのオリジナルを用いて、ファイルサーバ２１中のローカルユーザデータベース２１１を暗号化する。Ｓ０１１を完了すると、端末２２は、処理をＳ０１５へ進める。

一方、「サーバと連動」が選択されている場合に実行されるＳ０１２では、端末２２は、図１１に示すシステム初期化ログイン画面をディスプレイ２８上に表する。図１１に示すように、このシステム初期化ログイン画面には、ＩＤ記入欄５４，パスワード記入欄５５及びログインボタン５６が含まれている。

そして、端末２２は、操作者が端末２２の入力装置１９を用いてシステム初期ログイン画面中の各欄５４，５５に夫々文字列を書き込んだ状態でログインボタン５６を操作すると、次のＳ０１３において、ウェブブラウザーソフトウェア２２１を起動して、各欄５４，５５に記入された文字列を、夫々ＩＤ及びパスワードを示すパラメータとして包含するＨＴＴＰリクエストメッセージ（施設マスターキー要求メッセージ）をウェブサーバ１１へ送信させる。この施設マスターキー要求メッセージを受信したウェブサーバ１１は、被験者個人情報管理サーバソフトウェア１１３を起動する。そして、当該被験者個人情報管理サーバソフトウェア１１３に従って、連携要求メッセージに含まれるものと同じユーザＩＤ及びパスワードを含むアカウントがＥＤＣユーザデータベース１２１に登録されてい
るかどうかチェックする。そして、かかるアカウントが登録されている場合には、当該アカウントから施設ＩＤを読み出し、試験参加施設マスターキーデータベース１２３から、当該施設ＩＤに対応した施設マスターキーを読み出して、メッセージ送信元端末２２へ応答する。

次のＳ０１４では、端末２２は、Ｓ０１３にて取得した施設マスターキーを用いて、Ｓ００６にて生成した施設セッションキーのコピーを暗号化する（鍵暗号化手段）。端末２２は、このようにして暗号化した施設セッションキーを、Ｓ００５にてＲＡＭ２７に待避された設定データと一緒に施設設定ファイル２２４内に保存して、ハードディスク２９内に格納する（鍵保存手段）。Ｓ０１４を完了すると、端末２２は、処理をＳ０１５へ進める。

Ｓ０１５では、施設セッションキーのオリジナルを用いて、ＲＡＭ２７上の被験者個人情報データベース２１１を暗号化するとともに、これをファイル化してファイルサーバ２１の上記データ保存ディレクトリ内に保存する。かかる暗号化を完了すると、端末２２は、施設セッションキーのオリジナル及び内蔵マスターキー又は施設マスターキーを、直ちに消去する。このようにして、Ｓ０１５を完了すると、端末２２は、処理をＳ０１６へ進める。

Ｓ０１６では、端末２２は、図１２に示すシステム初期設定画面を、ディスプレイ２８上に表示する。図１２に示すように、このシステム初期設定画面には、ＯＫボタン４８が含まれており、このＯＫボタン４８が操作されると、端末２２は、処理をＳ１０１へ進める。

Ｓ１０１では、端末２２は、ファイルサーバ２１上の被験者個人情報データベース２１２のファイルに対する排他ロックの設定を試みる。その結果、ファイルサーバ２１上の被験者個人情報データベース２１２のファイルが他の端末２２によって排他ロック中であれば、排他ロックの設定に失敗したことになるので、端末２２は、Ｓ１０２において、図１４に示すシステム使用中メッセージをディスプレイ２８上に表示した後に、この被験者個人情報管理クライアントソフトウェア２２２に従った処理を終了する。

これに対して、ファイルサーバ２１上の被験者個人情報データベース２１２のファイルが他の端末２２によって排他ロック中でなければ、これを排他ロックの設定が成功するので、端末２２は、処理をＳ１０３へ進める。

Ｓ１０３では、端末２２は、施設設定ファイル２２４中の設定データから、データ保存ディレクトリ及びシステム運用方式の種別を読み出す。

Ｓ１０４では、端末２２は、図１３に示すシステムログイン画面をディスプレイ２８上に表示する。図１３に示すように、このシステムログイン画面には、ＩＤ記入欄４５，パスワード記入欄４６及びログインボタン４７が含まれている。そして、端末２２は、操作者が端末２２の入力装置１９を用いてシステムログイン画面中の各欄４５，４６に夫々文字列を書き込んだ状態でログインボタン４７を操作すると、各欄４５，４６に書き込まれた情報をＲＡＭ２７に待避させた後に、処理をＳ１０５へ進める。

Ｓ１０５では、端末２２は、Ｓ１０３で読み出したシステム運用方式の種別をチェックし、「サーバと連動」が選択されている場合には処理をＳ１０９へ進め、「ローカル」が選択されている場合には処理をＳ１０６へ進める。

Ｓ１０６では、端末２２は、上述したように非公開フォーマットにて暗号化されている
システム設定情報ファイル２２３を一時的に復号化して、内蔵マスターキーを読み出すとともに、施設設定ファイル２２４から、暗号化された施設セッションキーを読み出す。そして、端末２２は、復号化された内蔵マスターキーを用いて、施設セッションキーを復号化する。なお、かかる復号化を完了し次第、システム設定情報ファイル２２３は元に戻され、読み出された内蔵マスターキーは端末２２内から完全に消去される。

次のＳ１０７では、端末２２は、ファイルサーバにおけるＳ１０３にて読み出したデータ保存ディレクトリに格納されているローカルユーザデータベース２１１のファイルをＲＡＭ２７上に読み込んで、Ｓ１０６にて復号化した施設セッションキーを用いて復号化する。

次のＳ１０８では、端末２２は、Ｓ１０４にてＲＡＭ２７に待避させておいたものと同じユーザＩＤ及びパスワードを含むローカルアカウントが、Ｓ１０７にて復号化したローカルユーザデータベース２１１に格納されているかどうかをチェックする。そして、かかるローカルアカウントが登録されていなければ、ＩＤ及びパスワードを再入力させるために、処理をＳ１０４へ戻す。これに対して、かかるアカウントが登録されている場合には、端末２２は、処理をＳ１１４へ進める。

一方、「サーバと連動」が選択されている場合に実行されるＳ１０９では、端末２２は、ウェブブラウザーソフトウェア２２１を起動して、各欄４５，４６に記入された文字列を、夫々ＩＤ及びパスワードを示すパラメータとして包含するＨＴＴＰリクエストメッセージ（認証要求メッセージ）を、ウェブサーバ１１へ送信させる。この認証要求メッセージを受信したウェブサーバ１１は、被験者個人情報管理サーバソフトウェア１１３を起動する。そして、当該被験者個人情報管理サーバソフトウェア１１３に従って、認証要求メッセージに含まれるものと同じユーザＩＤ及びパスワードを含むアカウントがＥＤＣユーザデータベース１２１に登録されているかどうかチェックする。そして、かかるアカウントが登録されている場合には、アカウントが有効である旨のレスポンスを要求元端末２２へ応答し、かかるアカウントが登録されていない場合には、アカウントが無効である旨のレスポンスを要求元端末２２へ応答する。

端末２２は、次のＳ１１０において、ウェブサーバ１１からのレスポンスの内容をチェックし、アカウントが無効である旨のレスポンスであれば、ＩＤ及びパスワードを再入力させるために処理をＳ１０４へ戻し、アカウントが有効である旨のレスポンスであれば、処理をＳ１１１へ進める。

Ｓ１１１では、端末２２は、施設マスターキーを要求する旨のＨＴＴＰリクエストメッセージ（施設マスターキー要求メッセージ）を、ウェブサーバ１１へ送信する（マスターキーダウンロード手段に相当）。この施設マスターキー要求メッセージを受信したウェブサーバ１１は、当該被験者個人情報管理サーバソフトウェア１１３に従って、上記アカウントに含まれる施設ＩＤに対応した施設マスターキーを試験参加施設マスターキーデータベース１２３から読み出し、要求元端末２２へ応答する。

端末２２は、次のＳ１１２において、施設設定ファイル２２４から、暗号化された施設セッションキーを読み出す。そして、端末２２は、Ｓ１１１にてウェブサーバ１１から取得した施設マスターキーを用いて、施設セッションキーを復号化する（鍵復号化手段に相当）。

次のＳ１１３では、端末２２は、施設被験者個人情報データベースのコピー１１４を要求する旨のＨＴＴＰリクエストメッセージ（被験者個人情報データベース要求メッセージ）を、ウェブサーバ１１へ送信する（ダウンロード手段に相当）。この被験者個人情報デ
ータベース要求メッセージを受信したウェブサーバ１１は、被験者個人情報管理サーバソフトウェア１１３に従って、上記アカウントに含まれる施設ＩＤに対応した施設被験者個人情報データベース２１２のコピー１１４のファイルを読み出して、要求元端末２２へ応答する。端末２２は、このようにしてダウンロードした被験者個人情報データベース２１２のコピー１１４のファイルを、ファイルサーバにおけるＳ１０３にて読み出したデータ保存ディレクトリに上書きする。Ｓ１１３を完了すると、端末２２は、処理をＳ１１４へ進める。

Ｓ１１４では、端末２２は、ファイルサーバ２１におけるＳ１０３にて読み出したデータ保存ディレクトリに存在するファイル中の被験者個人情報データベース２１２をＲＡＭ２７上に読み込んで、Ｓ１０６又はＳ１１２にて復号化された施設セッションキーを用いて復号化する（復号化手段に相当）。

次のＳ２０１では、端末２２は、Ｓ１１４にて復号化した被験者個人情報データベース２１２のファイルから各被験者の個人情報を読み込んで、図１５に示す被験者個人情報管理画面を、ディスプレイ２８上に表示する。この被験者個人情報管理画面には、被験者個人情報データベース２１２から読み込んだ各被験者毎の個人情報を各行に表示するための表５０，当該表５０に追加されるべき新規被験者の個人情報を書き込むための複数のテキストボックスを備えた個人情報入力領域５８，データ検索ボタン５１，新規発行ボタン５２，被験者識別ＩＤ欄５９，ＥＤＣ登録ボタン４９，保存終了ボタン５３を、含んでいる。

個々の被験者に対応した表５０の各行には、夫々、「連番」，「被験者識別ＩＤ」，「患者氏名」，「カルテ番号」，「イニシャル姓」，「イニシャル名」，「性別」，「生年月日」，「疾患」，「省令登録番号」の各フィールドが、含まれている。このうち、連番とは、当該表における行の通し番号である。また、被験者識別ＩＤとは、当該試験参加施設２において一意の被験者識別番号である。また、患者氏名とは被験者の実名である。また、カルテ番号とは、当該試験参加施設において当該被験者に対して行われた診断・治療の記録（カルテ）に付された識別番号である。また、イニシャル姓とは、被験者の姓のローマ字の頭文字であり、イニシャル名とは、被験者の名のローマ字の頭文字である。また、疾患とは、当該被験者が現在罹患している疾患名である。また、症例登録番号とは、上記疾患に対応した識別番号である。これらのうち、患者氏名，イニシャル姓及びイニシャル名は、個人を特定できる情報にあたり、これを含むことで当該被験者の個人情報が保護すべき個人情報となるため、常時被験者個人情報データベース２１２に格納されて暗号化されているのである。

個人情報入力領域５８には、表５０に登録される各種情報のうち、患者氏名，イニシャル姓，イニシャル名，生年月日，性別及び疾患を夫々入力するための７個のテキストボックスを含んでいる。操作者が、入力装置１９を用いてこれら各テキストボックス内に値を書き込んだ状態で新規発行ボタン５２を入力すると、新規の被験者識別ＩＤが生成され、この新規被験者識別ＩＤ及び各テキストボックス内に書き込まれた値からなる新規被験者の個人情報が、ＲＡＭ２７上の被験者個人情報データベース２１２に追記されるとともに、追記された個人情報を表示した新規レコード（行）が、表５０に追加される。

個人情報入力領域５８中の何れかのダイアログボックスに対応する種類の個人情報が入力された状態，若しくは、被験者識別ＩＤ欄５９に何れかの被験者の被験者識別ＩＤが入力された状態でデータ検索ボタン５１が操作されると、表５０がスクロールされて、入力された情報に合致する行が、ハイライトされた状態で表示される。

端末２２は、次のＳ２０２において、Ｓ２０１にて表示された被験者個人情報管理画面
上において何らかの操作がなされるのを待つ。そして、ＥＤＣ登録ボタン４９が操作された場合には、Ｓ２０３において、その時点で新規入力被験者識別ＩＤ欄５４に入力されている被験者識別ＩＤに相当する被験者の個人情報（但し、被験者氏名，イニシャル姓，イニシャル名を除く）を表５０から抽出し、ウェブブラウザーソフトウェア２２１を起動して、このウェブブラウザーソフトウェア２２１の機能を用いて、ウェブサーバ１１上のＥＤＣサーバソフトウェア１１１へ送信する。以後、ウェブブラウザーソフトウェア２２１とＥＤＣサーバソフトウェア１１１との間でデータ授受がなされることにより、端末２２の操作者が、上記被験者についての治験情報を上記個人情報とともに臨床試験データベース１２２に登録する処理，及び、上記個人情報に対応付けて臨床試験データベース１２２に登録されている治験情報を更新する処理を、実行できるようになる。Ｓ２０３を完了すると、端末２２は、処理をＳ２０２に戻す。以上説明したＳ２０１乃至Ｓ２０４の処理が、個人情報更新手段に相当する。

また、被験者個人情報管理画面上においてデータ検索ボタン５１，新規発行ボタン５２が操作された場合には、端末２２は、Ｓ２０４において、上述した如き処理を行った後に、処理をＳ２０２に戻す。

これに対して、被験者個人情報管理画面上において保存終了ボタン５３が操作された場合には、端末２２は、処理をＳ２０５へ進める。Ｓ２０５では、端末２２は、Ｓ２０１にてＲＡＭ２７上に読み込まれた被験者個人情報データベース２１２のファイルの内容（個人情報）に変化があったかどうかをチェックする。そして、個人情報に変化がなければ、端末２２は、処理をそのままＳ２０７へ進める。これに対して、個人情報に変化があれば、端末２２は、Ｓ２０６において、Ｓ１０６又はＳ１１２にて復号化された施設セッションキーを用いて、ＲＡＭ２７上に存在する被験者個人情報データベース２１２を暗号化し（暗号化手段に相当）、これをファイル化してファイルサーバ２１上のデータ保存ディレクトリに上書きする。Ｓ２０６の完了後、端末２２は、処理をＳ２０７へ進める。

Ｓ２０７では、端末２２は、Ｓ１０３で読み出したシステム運用方式の種別をチェックし、「サーバと連動」が選択されている場合には処理をＳ２１０へ進め、「ローカル」が選択されている場合には処理をＳ２０８へ進める。

Ｓ２０８では、端末２２は、Ｓ１０７にてＲＡＭ２７上に読み込まれたローカルユーザデータベース２１１のファイルの内容に変化があったかどうかをチェックする。そして、変化がなければ、端末２２は、処理をそのままＳ２１２へ進め、変化があれば、Ｓ２０９において、Ｓ１０６にて復号化された施設セッションキーを用いて、ＲＡＭ２７上に存在するローカルユーザデータベース２１１のファイルを暗号化し、ファイルサーバ２１上のデータ保存ディレクトリに上書きした後に、処理をＳ２１２へ進める。

これに対して、Ｓ２１０では、端末２２は、ウェブブラウザーソフトウェア２２１を起動して、接続を要求するＨＴＴＰリクエストメッセージ（接続要求メッセージ）を、ウェブサーバ１１へ送信させる。

次のＳ２１１では、端末２２は、ウェブブラウザーソフトウェア２２１の機能を用いて、ファイルサーバ２１上のデータ保存ディレクトリに存在する被験者個人情報データベース２１２のコピー１１４を格納したファイルを、被験者個人情報管理サーバソフトウェアを実行しているウェブサーバ１１へアップロードする（アップロード手段に相当）。Ｓ２１１を完了すると、端末２２は、処理をＳ２１２へ進める。

Ｓ２１２では、端末２２は、ファイルサーバ２１上の被験者個人情報データベース２１２のファイルに対する排他ロックを解除する。Ｓ２１２を完了すると、端末２２は、この
被験者個人情報管理クライアントソフトウェア２２２に従った処理を終了する。このように被験者個人情報管理クライアントソフトウェア２２２に従った処理が終了すると、当該端末２２のＲＡＭ２７に残された平文の被験者個人情報データベース２１２は、消滅する。

４．実施形態による動作
以上のように構成された本実施形態による個人情報管理システムによると、試験参加施設２において、治験コーディネータ又は主任の医師が、治験依頼者から治験計画書を受け取ると、当該治験コーディネータ又は主任の医師は、当該試験参加施設２に通院又は入院している患者若しくは当該試験参加施設２外からスカウトしてきた者の中から、治験計画書に従って適切な者を所定人数選択し、これらの者の了解を取り付けた上で、これらの者を当該治験における被験者として決定する。

その上で、当該治験コーディネータ又は主任の医師は、当該試験参加施設２において自己が使用している端末２２を操作することにより、上述したように、ウェブサーバ１１（ＥＤＣサーバソフトウェア１１１）から被験者個人情報管理クライアントインストールプログラム１１２をダウンロードし、被験者個人情報管理クライアントインストールプログラム１１２を端末２２上で実行することにより、被験者個人情報管理クライアントソフトウェア２２２及びシステム設定情報ファイル２２３を、ハードディスク２９における所定のフォルダにインストールする。このように、端末を個人情報管理装置として機能させる被験者個人情報管理クライアントソフトウェア２２２は、インターネット，専用線等の広域ネットワークＮを介して臨床試験データセンター１からダウンロードされるので、簡単に利用することができる。

次に、当該治験コーディネータ又は主任の医師は、端末２２上で被験者個人情報管理クライアントソフトウェア２２２を実行する。このとき、ファイルサーバ２１２のデータ保存ディレクトリには、未だ当該治験についての被験者個人情報データベース２１２のファイルは格納されていないので、施設設定ファイルチェック画面（図８）が、ディスプレイ２８上に表示される（Ｓ００１：ｙｅｓ，Ｓ００２）。但し、この時点では、試験参加施設２内には、当該治験についての施設設定ファイル２２４は存在していないので、当該治験コーディネータ又は主任の医師は、当然に、「新規作成」を選択して、作成ボタン３８を操作することになる（Ｓ００３：新規作成）。すると、ディスプレイ２８上に、システム初期設定画面（図９）が表示される（Ｓ００５）。

当該治験コーディネータ又は主任の医師が、当該システム初期設定画面（図９）のデータ保存先記入欄４１にファイルサーバ２１における所定のデータ保存ディレクトリのパスを記入し、施設ＩＤ記入欄４２に当該試験参加施設２の識別情報を記入するとともに、システム運用形式の種別を適宜選択して、システム初期化ボタン５７を操作すると、乱数に基づいて当該試験参加施設内部でのみ使用可能な施設セッションキーが生成されるとともに、ＲＡＭ２７上に、初期値の被験者個人情報データベース２１２が生成される（Ｓ００６）。なお、以下の説明は、システム運用形式の種別として「ＥＤＣサーバと連動」が選択された場合を例にとって進めることとする（Ｓ００７：サーバと連動）。

すると、次に、端末２２のディプレイ上には、システム初期ログイン画面（図１０）が表示される（Ｓ０１２）。そこで、当該治験コーディネータ又は主任の医師は、予め臨床試験データセンター１によって割り当てられている自己のユーザＩＤ及びパスワードを、当該システム初期ログイン画面中の各欄５４，５５に夫々入力した状態でログインボタン５６を操作する。すると、これらユーザＩＤ及びパスワードを受信したウェブサーバ１１（被験者個人情報管理サーバソフトウェア１１３）が、これらユーザＩＤ及びパスワードの組合せと同じアカウントがＥＤＣユーザデータベース１２１に登録されているかどうか
の認証を行い、登録されているならば、認証が成功したものとして、当該アカウントに含まれる当該試験参加施設２の識別情報に対応した施設マスターキーを、試験参加施設マスターキーデータベース１２３から読み出して、要求元端末２２に送信する（Ｓ０１３）。

端末２２は、このようにして臨床試験データセンター１から取得した当該試験参加施設２に専用の施設マスターキーを用いて、先ず、施設セッションキーをコピーして、施設マスターキーを用いて当該コピーを暗号化し、施設設定ファイル２２４にファイル化した状態で、ハードディスク２９の同一ディレクトリに保存する（Ｓ０１４）。また、施設セッションキーのオリジナルを用いて被験者個人情報データベース２１２を暗号化した後に、当該施設セッションキーのオリジナル及び施設マスターキーを廃棄する（Ｓ０１５）。

以上のようにして、当該治験コーディネータ又は主任の医師が使用する端末２２内には施設設定ファイル２２４が作成され、ファイルサーバ２１には被験者個人情報データベース２１２のファイルが作成されるので、当該端末２２からは、以後、被験者個人情報データベース２１２に対するアクセス，即ち、被験者の臨床データの登録が可能となる（Ｓ１０１〜）。

また、治験コーディネータ又は主任の医師は、端末２２のハードディスク２９から施設設定ファイル２２４をリムーバブルメディアにコピーして、これを当該試験参加施設２内の他の端末２２に配布することができる。即ち、他の端末２２において、ＥＤＣユーザデータベース１２１に登録されている治験コーディネータ又は医師が上述したのと同じ操作を行えば、被験者個人情報管理クライアントソフトインストールプログラム１１２をウェブサーバ１１（ＥＤＣサーバソフトウェア１１１）からダウンロードして実行することにより、被験者個人情報管理クライアントソフトウェア２２２を、その端末２２のハードディスク２９にインストールすることができる。そして、被験者個人情報管理クライアントソフトウェア２２２を立ち上げ、施設設定ファイルチェック画面（Ｓ００２，図８）において「既存のファイルをコピー」を選択し、ファイル位置指定欄３７に上記リムーバブルメディア内における施設設定ファイル２２４を保存したディレクトリのパスを記入して、作成ボタン３８を操作すれば、当該リムーバブルメディア内から施設設定ファイル２２４が、当該他の端末２２におけるハードディスク２９における所定のディレクトリにコピーされる（Ｓ００４）。これにより、当該他の端末２２でも、上記治験コーディネータ又は主任の医師が使用する端末２２におけるのと同様に、被験者個人情報データベース２１２に対するアクセス，即ち、被験者の臨床データの登録が可能となる（Ｓ１０１〜）。

また、以上のようにして被験者個人情報管理クライアントソフトウェア２２２及び施設設定ファイル２２４を既に備えている端末２２において 当該被験者個人情報管理クライアントソフトウェア２２２が２度目以降に起動されると、Ｓ００２からS０１６の処理が
スキップされて（Ｓ００１：ｙｅｓ）、直ちに、被験者個人情報データベース２１２に対するアクセス，即ち、被験者の臨床データの登録が可能となる（Ｓ１０１〜）。

被験者個人情報データベース２１２に対するアクセスをする際には、端末２２は、他の端末２２が排他ロックしていないことを条件に、当該被験者個人情報データベース２１２のファイルを排他ロックし（Ｓ１０１：成功）、ウェブサーバ１１（被験者個人情報管理サーバソフトウェア１１３）から施設マスターキーを取得し（Ｓ１１１）、当該施設マスターキーを用いて施設セッションキーを復号化するとともに（Ｓ１１２）、当該試験参加施設の施設被験者個人情報データベース２１２のコピー１１４を格納したファイルをダウンロードして、これをファイルサーバ２１に上書きし（Ｓ１１３）、復号化された施設セッションキーを用いてＲＡＭ２７上で当該被験者個人情報データベース２１２を復号化する（Ｓ１１４）。以上の手続きを踏むことにより、ウェブサーバ１１によって保管されていた被験者個人情報データベース２１２へのアクセスが可能となる。即ち、被験者個人情
報管理画面（図１５）中の表５０にその内容を表示させて、この被験者個人情報管理画面（図１５）を通じて、被験者個人情報データベース２１２に各被験者の個人情報を追加することが可能となる（Ｓ２０１〜Ｓ２０４）。

以上のようにして被験者個人情報データベース２１２中の各被験者の個人情報の更新がなされた場合には（Ｓ２０５：あり）、端末２２は、更新後の被験者個人情報データベース２１２を暗号化してファイル化したファイルをファイルサーバ２１に上書きするとともに（Ｓ２０６）、これをウェブサーバ１１（被験者個人情報管理サーバソフトウェア１１３）にアップロードする。そして、その後、当該被験者個人情報管理クライアントソフトウェア２２２による処理が終了すると、ＲＡＭ２７上に残された平文の被験者個人情報データベース２１２が消去される。

このように、本実施形態によると、試験参加施設２において、被験者個人情報データベース２１２は、常時暗号化されてファイル化された状態でファイルサーバ２１に保管されているので、アクセス権限を有さない（即ち、個人ＩＤが臨床試験センター１のＥＤＣユーザデータベース１２１に登録されていない）者や、アクセス権限を有していても正当な手順を踏まない者が被験者個人情報データベース２１２にアクセスしても、その内容を知ることができない。

また、被験者個人情報データベース２１２を復号化するための施設セッションキーは、暗号化された状態で施設設定ファイル２２４内に保管されているので、アクセス権限を有さない者や、アクセス権限を有していても正当な手順を踏まない者は、復号化に用いられる平文の施設セッションキーを入手することができないので、被験者個人情報データベース２１２が不正に復号化されることが防止される。このように暗号化された施設セッションキーは、被験者個人情報データベース２１２を復号化することができないので、リムーバブルメディアを用いて当該試験参加施設内で配布したり、紛失に備えて当該試験参加施設内にバックアップしておくことが可能となる。

また、暗号化された被験者個人情報ベース２１２のコピー１１４は、臨床試験データセンター１（ウェブサーバ１１）にアップロードされてバックアップされているので、試験参加施設においてファイルサーバ２１上の被験者個人情報データベース２１２が誤って消去されたり破壊された場合であっても、臨床試験データセンター１（ウェブサーバ１１）にバックアップされているコピー１１４を用いて、正しい被験者個人情報データベース２１２を復元することができる。このようにして臨床試験データセンター１（ウェブサーバ１１）にバックアップされている被験者個人情報ベース２１２のコピー１１４は、施設セッションキーを用いて暗号化されているので、かかる施設セッションキーが存在していない臨床試験データセンター１（ウェブサーバ１１）側では、たとえ当該試験参加施設の施設マスターキーが入手可能であったとしても、これを復号化してその内容を盗み見ることはできない。ましてや、臨床試験データセンター１（ウェブサーバ１１）から違法に当該被験者個人情報ベース２１２のコピー１１４を盗んだ者は、従って、その内容を盗み見ることはできない。その結果、本実施形態によると、試験参加施設において取得された被験者の個人情報を強固に保護することが可能になるのである。

本発明による実施の形態であるコンピュータネットワークの概略ソフトウェア構成を示すブロック図 本発明による実施の形態であるコンピュータネットワークの概略ハードウェア構成を示すブロック図 被験者個人情報管理クライアントソフトウェアによる処理を示すフローチャート 被験者個人情報管理クライアントソフトウェアによる処理を示すフローチャート 被験者個人情報管理クライアントソフトウェアによる処理を示すフローチャート ＥＤＣシステムの入口画面を示す図 メニュー画面を示す図 施設設定ファイルチェック画面を示す図 システム初期設定画面を示す図 ローカルユーザ設定画面を示す図 システム初期ログイン画面を示す図 システム初期設定画面を示す図 システムログイン画面を示す図 システム使用中画面を示す図 被験者個人情報管理画面を示す図

符号の説明

１ 臨床試験データセンター
２ 試験参加施設
１１ ウェブサーバ
１２ データベースサーバ
２１ ファイルサーバ
２２ 端末
１１２ 被験者個人情報管理クライアントソフトインストールプログラム
１１３ 被験者個人情報管理サーバソフトウェア
１２１ ＥＤＣユーザデータベース
１２３ 試験参加施設マスターキーデータベース
２１２ 被験者個人情報データベース
２２１ ウェブブラウザーソフトウェア
２２２ 被験者個人情報管理クライアントソフトウェア
２２４ 施設設定ファイル

Claims (4)

1. 個人情報を個人情報ファイルに格納して保管するための個人情報管理装置であって、
   ネットワークを介してサーバ装置と通信可能な通信装置と、
   入力装置と、
   記憶装置と、
   鍵を発行する鍵発行手段と、
   前記入力装置を通じて入力される情報に従って、前記個人情報ファイルに格納すべき個人情報の更新を行う個人情報更新手段と、
   前記個人情報更新手段による前記個人情報に対する更新を行った後に、前記鍵発行手段によって発行された前記鍵を用いて、前記個人情報を暗号化する暗号化手段と、
   当該暗号化手段によって暗号化された前記個人情報を格納した個人情報ファイルを前記通信装置を用いて前記サーバ装置にアップロードするアップロード手段と、
   前記入力装置を通じて入力される情報に従って、前記サーバ装置から、前記個人情報ファイルをダウンロードするダウンロード手段と、
   前記サーバ装置から所定のマスターキーをダウンロードするマスターキーダウンロード手段と、
   前記鍵発行手段によって発行された鍵を前記マスターキーを用いて暗号化する鍵暗号化手段と、
   前記鍵暗号化手段によって暗号化された鍵を前記記憶装置に保存する鍵保存手段と、
   前記記憶装置に保存されている鍵を取り出し、前記マスターキーを用いて復号化する鍵復号化手段と、
   前記鍵復号化手段によって復号化された鍵を用いて、前記ダウンロード手段によってダウンロードされた前記個人情報ファイル中の暗号化された個人情報を復号化する復号化手段と、
   前記復号化手段によって復号化された前記個人情報の内容を出力する出力装置と
   を備えたことを特徴とする個人情報管理装置。
2. 前記鍵暗号化手段は、前記鍵を暗号化した後に前記マスターキーを破棄する
   ことを特徴とする請求項１記載の個人情報管理装置。
3. ネットワークを介してサーバ装置と通信可能な通信装置，出力装置，入力装置を有する
   コンピュータを、
   鍵を発行する鍵発行手段，
   前記入力装置を通じて入力される情報に従って、個人情報ファイルに格納すべき個人情報の更新を行う個人情報更新手段，
   前記個人情報更新手段による前記個人情報に対する更新を行った後に、前記鍵発行手段によって発行された前記鍵を用いて、前記個人情報を暗号化する暗号化手段，
   当該暗号化手段によって暗号化された前記個人情報を格納した個人情報ファイルを前記通信装置を用いて前記サーバ装置にアップロードするアップロード手段，
   前記入力装置を通じて入力される情報に従って、前記サーバ装置から、前記個人情報ファイルをダウンロードするダウンロード手段，
   前記鍵発行手段によって発行された鍵を前記マスターキーを用いて暗号化する鍵暗号化手段，
   前記鍵暗号化手段によって暗号化された鍵を前記記憶装置に保存する鍵保存手段，
   前記記憶装置に保存されている鍵を取り出し、前記マスターキーを用いて復号化する鍵復号化手段，
   前記鍵復号化手段によって復号化された鍵を用いて、前記ダウンロード手段によってダウンロードされた前記個人情報ファイル中の暗号化された個人情報ファイルを復号化する復号化手段，及び
   前記復号化手段によって復号化された前記個人情報ファイルの内容を前記出力装置を用いて出力する出力手段
   として機能させる個人情報管理プログラム。
4. 個人情報を格納した個人情報ファイルを管理するために、ネットワークを介して相互に接続された個人情報管理装置とサーバ装置とからなる個人情報管理システムであって、
   前記サーバ装置は、
   前記個人情報管理装置からの各要求に応じて、夫々、所定のマスターキーを前記個人情報管理装置に応答し、前記個人情報管理装置によってアップロードされた暗号化済の前記個人情報ファイルをディスク装置に保存し、前記個人情報管理装置によってダウンロード要求された暗号化済の前記個人情報ファイルを前記ディスク装置から読み出して当該個人情報管理装置へ送信し、
   前記個人情報管理装置は、
   ネットワークを介してサーバ装置と通信可能な通信装置と、
   入力装置と、
   記憶装置と、
   鍵を発行する鍵発行手段と、
   前記サーバ装置から前記マスターキーをダウンロードするマスターキーダウンロード手段と、
   前記入力装置を通じて入力される情報に従って、前記個人情報ファイルに格納すべき個
   人情報の更新を行う個人情報更新手段と、
   前記個人情報更新手段による前記個人情報に対する更新を行った後に、前記鍵を用いて、 前記個人情報を暗号化する個人情報暗号化手段と、
   当該個人情報暗号化手段によって暗号化された前記個人情報を格納した個人情報ファイルを前記通信装置を用いて前記サーバ装置にアップロードするアップロード手段と、
   前記マスターキーダウンロード手段によって前記サーバ装置からダウンロードしたマスターキーを用いて、前記鍵を暗号化する鍵暗号化手段と、
   前記鍵暗号化手段によって暗号化された鍵を前記記憶装置に保存する鍵保存手段と、
   前記入力装置を通じて入力される情報に従って、前記サーバ装置から、前記個人情報ファイルをダウンロードするダウンロード手段と、
   前記記憶装置に保存されている鍵を取り出して、マスターキーを用いて復号化する鍵復号化手段と、
   前記鍵復号化手段によって復号化された鍵を用いて、前記ダウンロード手段によってダウンロードされた前記個人情報ファイル中の暗号化された個人情報を復号化する個人情報復号化手段と、
   前記個人情報復号化手段によって復号化された前記個人情報の内容を出力する出力装置と
   を備えていることを特徴とする個人情報管理システム。

Images